AI 해킹 도구 등장에 북한 조직도 공격 자동화…탐지·정보 공유 허점
금융사 555곳 중 130곳 보안 미흡…정부, 공동 관제·접근 통제 강화
(서울=연합뉴스) 오지은 기자 = 올해 10월 한 달간 금융회사와 기업, 공공기관 등을 겨냥한 해킹 사고가 잇따르면서 왜 이처럼 많은 곳이 공격에 노출됐고 보안 체계는 이를 제때 막지 못했는지 의문이 커지고 있다.
인공지능(AI)을 활용한 해킹 도구의 등장과 인터넷주소(IP)를 바꿔가며 침입하는 우회 공격 등 수법은 갈수록 정교해졌지만 국내 기업들의 초기 이상징후 판단과 후속 대응은 이를 따라가지 못한 사례가 속출했다.
국내 금융회사 555곳 중 130곳에서 보안 미흡 사항이 확인되는 등 기본적인 인증·접근 통제와 보안관제에도 허점이 있었다. 개별 기업이 파악한 위협정보가 제때 공유되지 않은 점도 문제로 지적됐다.
잇단 해킹 사고를 계기로 공격을 조기에 탐지하고 차단하는 역량뿐 아니라 기업 간 정보 공유와 외부 연결 시스템의 관리 책임을 강화하는 것이 과제로 떠올랐다.
이런 가운데 북한 해킹 조직도 AI를 활용해 피싱 문서를 대량 제작하는 등 사이버 공격에 AI를 적극적으로 활용하고 있다는 분석이 나와 주목된다.
ADVERTISEMENT
◇ AI 도구까지 동원한 해킹…북한 조직도 공격 자동화 확대
1일 정보통신기술(ICT) 업계에 따르면 10월 금융권 침해사고에서 주목할 대목은 공격 과정에 인공지능(AI) 도구가 활용된 정황이 확인됐다는 점이다.
미국 보안업체 크라우드스트라이크는 지난달 7일 공개한 보고서에서 국내 금융기관을 겨냥한 공격에 AI 기반 침투테스트 도구인 아르텍스(ARTEX)가 활용됐다고 밝혔다.
아르텍스는 대형언어모델(LLM)을 연결해 보안 취약점을 탐색하고 침투 경로를 계획하며 관련 명령을 실행하는 AI 에이전트 도구다. 보안 점검을 목적으로 개발됐지만 해커가 공격에 악용할 수도 있다.
크라우드스트라이크는 이번 사례가 AI 도구를 이용하면 한 명의 공격자도 짧은 시간에 여러 조직을 침해할 수 있음을 보여준다고 평가했다.
공격자가 일일이 취약점을 탐색하고 침투 절차를 준비하는 대신 AI를 활용해 일부 작업을 자동화함으로써 공격에 필요한 시간과 인력을 줄일 수 있다는 것이다.
이런 가운데 북한 해킹 조직도 AI를 공격에 적극적으로 활용하고 있다는 분석이 잇따르고 있다.
마이크로소프트(MS) 위협 인텔리전스가 지난달 29일 공개한 보고서에 따르면 북한 해킹 조직 8곳 가운데 3곳은 AI를 일상적인 공격 업무에 통합한 단계에 도달한 것으로 평가됐다.
특히 북한 해킹 조직 1곳은 올해 8∼9월 한국 이용자를 겨냥한 맞춤형 피싱 유인 문서를 100개 이상 생성했으며, 수분 만에 수십 개의 문서를 제작한 정황도 확인됐다.
AI를 활용해 공격 대상에 맞춘 문서를 대량으로 만들고 악성코드 개발과 정보 수집 등에도 활용하려는 움직임이 포착된 것이다. 다만 북한 해킹 조직의 이러한 활동이 10월 국내 금융권에서 발생한 아르텍스 관련 침해사고와 연결됐다는 증거는 확인되지 않았다.
금융위원회도 지난달 14일 조사 경과를 발표하면서 사고별 연관성과 동일 공격자 여부, AI 해킹 가능성 등을 확인하고 있다고 설명했다.
결국 10월 잇따른 해킹 사고를 모두 동일한 공격자나 AI 도구 때문으로 볼 수는 없지만, 공격에 활용되는 기술과 수법이 다양해지고 있다는 점은 분명해지고 있다.
◇ 공격 징후 있었지만 대응 늦어…IP 차단 뒤에도 우회 공격
해커들이 AI 도구를 활용하고 공격 경로를 바꿔가며 침입을 시도하는 동안 금융회사들의 대응체계는 이를 제때 탐지하고 차단하는 데 한계를 드러냈다.
특히 10월 잇따라 드러난 금융권 침해사고에서는 초기 이상징후를 발견하고도 실제 해킹 가능성을 신속하게 판단하지 못하거나, 공격에 사용된 인터넷주소(IP)를 차단한 이후 추가 침입 시도에 충분히 대응하지 못한 사례가 문제로 지적됐다.
대표적인 사례가 KB국민은행이다.
지난달 19일 국회 정무위원회 국정감사에서 김용만 더불어민주당 의원은 국민은행이 9월 27일 최초 공격자의 접근을 확인하고도 이를 일상적인 이상 트래픽으로 판단해 해당 IP를 차단하는 데 그쳤다고 지적했다.
이후 공격자는 29일 베트남 IP를 이용해 다시 접근하는 우회 공격을 시도한 것으로 국정감사에서 드러났다.
이에 이환주 국민은행장은 9월 30일 오전 자체적으로 이상징후를 확인했다고 설명하면서 신속하게 차단하고 대응하지 못한 데 대해 아쉬움을 표했다.
이 사례는 해킹에 사용된 IP 하나를 차단했다고 해서 공격이 끝나는 것은 아니라는 점을 보여준다.
공격자가 다른 IP나 접속 경로를 이용하면 기존 차단 조치를 우회할 수 있는 만큼, 초기 이상징후가 발견됐을 때 관련 접속기록과 계정 활동을 함께 분석하고 추가 침입 여부를 추적하는 대응이 필요하다는 것이다.
특히 비정상적인 접근이 실제 개인정보 조회나 외부 반출로 이어졌는지 확인하려면 단순한 접속 차단을 넘어 시스템 내부의 활동 기록까지 살펴봐야 한다.
개별 금융회사의 대응뿐 아니라 금융권 전체의 위협정보 공유체계에도 허점이 드러났다.
금융위원회에 따르면 당시 금융감독원과 금융보안원이 파악한 해킹 위협정보는 통합관제시스템을 통해 금융회사들에 전파됐지만, 개별 금융회사가 자체 보안관제 과정에서 확보한 정보는 다른 금융회사들과 공유되지 않았다.
한 금융회사가 의심스러운 접근이나 새로운 공격 수법을 발견하더라도 이를 다른 금융회사들이 신속하게 파악하고 선제적으로 대응하는 데 한계가 있었던 것이다.
결국 이번 금융권 침해사고는 보안장비를 갖추고 공격 IP를 차단하는 것만으로는 충분하지 않다는 점을 보여줬다.
초기 이상징후를 실제 침해 가능성과 연결해 판단하고 공격 경로가 바뀌더라도 추가 접근을 추적하며, 확인된 위협정보를 금융권 전체가 신속하게 공유하는 대응체계를 갖추는 것이 과제로 떠올랐다.
ADVERTISEMENT
◇ 금융사 130곳 보안 허점…정부, 공동 관제·접근 통제 강화
10월 잇따른 해킹 사고는 공격 수법의 진화뿐 아니라 기업과 기관의 기본적인 보안 관리에도 적지 않은 허점이 있음을 드러냈다.
해커들이 AI를 활용하고 공격 경로를 바꿔가며 침입을 시도하는 상황에서 일부 금융회사는 보안 취약점을 제때 보완하지 않거나 외부 시스템에 대한 접근 권한조차 제대로 관리하지 못한 것으로 나타났다.
금융위원회가 지난달 14일 공개한 금융회사 555개사의 자체 점검 결과에 따르면 130개사가 보안 관리와 관련한 미흡 사항을 보고했다.
최신 보안패치를 적용하지 않거나 24시간 보안관제체계를 갖추지 않은 사례가 있었고, 외부에 연결된 시스템의 인증·인가 절차가 누락되거나 중요 서비스에 다중요소인증(MFA)을 도입하지 않은 경우도 확인됐다.
해킹을 막기 위한 기본적인 보안조치부터 제대로 이뤄지지 않은 곳이 있었던 셈이다.
기업이 외부 업체에 맡긴 시스템의 보안 관리도 과제로 떠올랐다.
여러 교육기관의 온라인 교육시스템을 운영하는 맑은소프트는 해킹 사고 이후 고객사별 데이터 분리와 데이터베이스 접속 계정·인증정보의 세분화 등을 개선 대책으로 제시했다.
각 계정에 업무 수행에 필요한 최소한의 권한만 부여하고, 데이터 암호화에 사용하는 키도 서비스 시스템과 분리해 관리하겠다는 방침이다.
정부도 잇단 침해사고를 계기로 금융회사의 외부 연결 시스템과 보안관제체계를 전반적으로 손질하기로 했다.
금융위는 금융회사 전산시스템이 외부와 연결되는 모든 접점을 목록으로 관리하고, 각 시스템에 대한 접근 권한을 엄격하게 통제하도록 할 계획이다.
외부 접점의 관리 실태가 최고경영자(CEO)와 정보보호최고책임자(CISO) 등에게 적절하게 보고되도록 하고, 관련 책임 범위도 명확히 하기로 했다.
금융회사별로 확보한 위협정보를 신속하게 공유할 수 있도록 관제체계를 개선하고 AI 기반 취약점 점검 인프라를 구축하는 방안도 추진한다.
특히 자체 보안 인력과 예산이 상대적으로 부족한 중소형 금융회사를 위해 AI 기반 공동 보안관제 시스템을 구축하는 방안도 검토하기로 했다.
금융권뿐 아니라 통신망과 데이터센터 등 국가 주요 정보통신시설에 대한 점검도 진행되고 있다.
과학기술정보통신부는 111개 기관이 관리하는 민간 주요정보통신기반시설 약 172곳을 대상으로 보안 취약점 점검을 추진하고 있다. 통신 3사의 유무선 서비스와 인터넷데이터센터(IDC) 관련 시스템 등이 대상에 포함됐다. 외부에 노출된 서버와 웹페이지의 관리 실태 등을 살펴 연내 확인·점검을 마무리할 방침이다.
10월 해킹 대란이 남긴 과제는 새로운 공격 기술에 대응하는 것만이 아니다.
외부에 연결된 시스템의 접근 권한을 관리하고 기본적인 보안패치를 제때 적용하며 이상징후가 발견되면 실제 침해 여부를 신속하게 확인하는 체계를 갖추는 일도 중요해졌다.
개별 기업이 확보한 위협정보를 다른 기업과 관계기관에 빠르게 전달하고 보안 인력과 예산이 부족한 곳까지 공동 대응체계에 포함하는 것도 해결해야 할 문제다.
AI를 활용한 공격이 등장하고 해커들이 침입 경로를 바꿔가며 공격을 시도하는 상황에서 기본적인 보안 관리와 초기 대응, 정보 공유가 제대로 작동하지 않는다면 비슷한 사고가 반복될 수 있다는 것이 이번 해킹 사태가 남긴 교훈이다.
built@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
ADVERTISEMENT
ADVERTISEMENT
ADVERTISEMENT